CPA-RAG: Скрытые атаки отравления на генерацию с дополнением извлечением в больших языковых моделях

Генерация с дополнением извлечением (Retrieval-Augmented Generation, RAG) расширяет возможности больших языковых моделей (LLM) за счёт использования внешних знаний, однако её открытость создаёт уязвимости, которые могут эксплуатироваться с помощью атак отравления. Существующие методы отравления RAG-систем имеют ограничения, включая низкую способность к обобщению и недостаточную беглость состязательных текстов. В данной работе предлагается CPA-RAG — состязательная чёрнояпонная структура, генерирующая релевантные запросу тексты, способные манипулировать процессом извлечения для получения целевых ответов. Предлагаемый метод объединяет генерацию текста на основе подсказок, перекрёстно направляемую оптимизацию с использованием нескольких LLM и оценивание на основе модуля извлечения для формирования высококачественных состязательных примеров. Для оценки эффективности метода проведена серия масштабных экспериментов на нескольких наборах данных и LLM. Результаты показывают, что при значении top-k, равном 5, структура обеспечивает успешность атак свыше 90%, сопоставимую с результатами методов «белого ящика», и сохраняет стабильное преимущество примерно в 5 процентных пунктов при различных значениях top-k. Кроме того, при использовании различных стратегий защиты она превосходит существующие чёрнояпонные базовые методы на 14,5 процентного пункта. Предложенный метод также успешно компрометирует коммерческую RAG-систему, развернутую на платформе BaiLian компании Alibaba, что демонстрирует практическую угрозу метода для приложений реального мира. Полученные результаты подчёркивают необходимость разработки более устойчивых и безопасных RAG-структур для защиты от атак отравления.